TikTok dément tout piratage de l’application

Depuis quelques jours, des informations indiquent que TikTok a été hacké et que deux milliards de données sont dans la nature. ByteDance, le propriétaire de l’application, réfute ces allégations.

Depuis ce week-end, de nombreuses informations concernant un piratage de TikTok apparaissent sur la toile avec des copies d’écrans des données récupérées. Il y en aurait des milliards pour un poids total de la base de données de près de 790 Go.

Une véritable mine d’or si les fichiers s’avéraient vrais puisque cela regrouperait les identifiants, les vidéos et d’autres données comme celles concernant des paiements via Paypal aux différents utilisateurs.

Cependant, l’histoire pourrait être un peu différente de ce narratif puisque ByteDance, maison-mère de TikTok, dément formellement ces informations et certains chercheurs en cybersécurité vont également dans ce sens.

Des données facilement accessibles sans piratage

Interrogé par Forbes, TikTok indique n’avoir trouvé aucune preuve d’une faille de sécurité sur ses serveurs, après une enquête de son équipe de sécurité. De même, le réseau social chinois avait déterminé que les documents mis en ligne par les hackers n’avaient rien à voir avec le code source principal de l’application.

Mais si la fuite de données s’avérait vraie, TikTok pourrait tenter de minimiser l’attaque voire pourrait démentir dans un premier temps afin de mieux enquêter sur les données rendues disponibles. Cependant, quelques autres informations ont l’air d’aller dans le sens de celles de la firme. En particulier un fil Twitter publié par Troy Hunt, fondateur du site HaveIbennpwned, qui se demande si les données disponibles sont pertinentes ou non. Il a ainsi analysé une partie des données qui ont été mises en ligne et d’après lui, cela relève plus de données publiques que d’un véritable piratage de l’application.

En effet, les données renvoient vers des listes de pseudonymes visibles publiquement ainsi que des vidéos associées, rien de très confidentiel ici. Les ID ainsi que les vidéos sont bien raccords, ce qui prouve que les données sont correctes mais rien de plus.

En poussant un peu plus son analyse, Troy Hunt tombe sur des données Paypal, mais elles indiquent une adresse e-mail se finissant en @business.example.com avec comme nom John Doe, un patronyme utilisé en anglais pour désigner une personne anonyme. D’autres entrées dans la base de données montrent des noms d’utilisateurs comme « testTitok » ou « test25 », « test26″…

Pour Troy Hunt, toutes ces données ne sont pas pertinentes pour indiquer s’il y a bien eu un piratage de TikTok. La plupart sont accessibles publiquement tandis que d’autres correspondent à des données de production ou de test, qui pourraient en plus avoir été fabriquées de toutes pièces. De plus, le forum où l’exploit avait été exposé à l’origine a banni l’utilisateur qui avait indiqué la faille. Il y est mentionné que ce dernier a menti à propos de cette fuite de données.